作者hanne81 (相信會有一天)
看板AntiVirus
標題[求救] 一直開出廣告頁面
時間Tue Jun 22 02:14:34 2010
1. 敘述問題：
星期一(06/21)中午之前都沒發生問題
下午開始就大約每隔幾分鐘就會開出一個廣告視窗
因為看開始工具列的網路小圖示一直在閃，覺得怪怪的
就用Wireshark抓封包，發現一直有不同的IP傳送UDP封包到我的電腦
06/22早上
我本來桌面上的IE捷徑已經刪掉，忽然又出現了
我裝了COMODO之後，看到svchost開了一個port 2869
查了發現是SSDP但容易變成Trojan port
暫時先關掉服務了 也暫時先把IE封鎖了
06/22下午
我一開啟Skype就看到COMODO裡面Skype瘋狂收到UDP port 1647的封包
查一下1647，就是我用wireshark抓到的一堆UDP封包
(但是我沒開Skype的時候還是一直有那些封包打過來)
請問有人知道這情況要怎麼解決嗎？
2. 系統資料：
Windows XP SP3
Avira AntiVir PersonalEdition Classic
3. 分析報告：
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/39828.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/39829.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/39830.txt
防毒軟體報告：
(只有用防毒軟體掃瞄C槽，沒有出現錯誤)
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.122.251.135
※ 編輯: hanne81 來自: 122.122.251.135 (06/22 07:34)
※ 編輯: hanne81 來自: 140.116.247.16 (06/22 10:42)
※ 編輯: hanne81 來自: 140.116.247.16 (06/22 16:03)
1F：推 junorn:沒看到甚麼異常的程序，就最近碰到經驗來說要碼是MBR 06/22 19:54
2F：→ junorn:要碼就是有新的漏洞遠端直接攻擊 06/22 19:54
3F：→ hanne81:那請問我這個學術網路的固定IP被UDP攻擊 有什麼方法可以解 06/23 01:37
4F：→ hanne81:決嗎？我現在先躲在一台AP後面 然後先移除Skype 就沒直接 06/23 01:38
5F：→ hanne81:打到我的電腦 可是AP那邊還是一直收到UDP ... orz 06/23 01:38
6F：→ hanne81:請教關於MBR病毒，我若是用XP光碟開機進去修復主控台 06/23 09:36
7F：→ hanne81:然後fixmbr，可以不重新安裝就清除病毒嗎？還是執行這個 06/23 09:37
8F：→ hanne81:就一定要重新安裝Windows？ 06/23 09:37
※ 編輯: hanne81 來自: 140.116.247.36 (06/23 10:01)
9F：推 junorn:FIXMBR嗎？看情形，一般是不用重裝 06/23 11:03
10F：→ junorn:假設是被攻擊的話，那就是請網管處理不然也沒別的辦法。 06/23 11:04
11F：→ junorn:這種攻擊也不像ARP在區網內的可以拿折凳找人談，所以沒辦法 06/23 11:04
12F：→ hanne81:非常感謝你 我再找網管看看 目前就只能用防火牆暫時擋 06/24 11:33